Internetanbieter und Router:
Was der Anschluss verrät

Zwei Texte des Schweizer Anbieters Proton waren der Ausgangspunkt für diesen Artikel: einer darüber, was ein Internetanbieter über seine Kundschaft weiß^[1], einer über die Firmen, die das WLAN im Wohnzimmer betreiben^[2]. Beide argumentieren fast ausschließlich mit amerikanischen Beispielen. Was davon für Deutschland gilt, steht in keinem von beiden.

Das Grundproblem ist dasselbe. Die Rechtslage hier ist besser. Und das deutlichste Beispiel kommt in beiden Texten nicht vor, weil es ein deutsches ist.

// Die Leitung

// 01Was am Anschluss ohnehin sichtbar ist

Ein Internetzugangsanbieter ist die Stelle, durch die jedes Byte muss. Verschlüsselung ändert daran weniger, als viele annehmen. HTTPS schützt den Inhalt einer Seite, nicht die Tatsache, dass du sie aufrufst. Sichtbar bleibt:

• die Ziel-IP-Adresse jeder Verbindung, also der Server, mit dem dein Gerät spricht
• der SNISNI — Server Name IndicationBeim Aufbau einer HTTPS-Verbindung schickt der Browser den Namen der Zielseite unverschlüsselt mit. Der Anbieter erfährt damit die Domain, auch ohne den Inhalt zu lesen., der beim Verbindungsaufbau unverschlüsselt mitgeht und die Domain preisgibt
• jede DNSDNS — Domain Name SystemDas Adressbuch des Internets: Es übersetzt Namen wie thx4data.de in IP-Adressen. Wer den voreingestellten Adressserver seines Anbieters nutzt, meldet ihm jede aufgerufene Domain.-Anfrage, solange der voreingestellte Adressserver des Anbieters benutzt wird
• Zeitpunkt, Dauer und Datenmenge jeder einzelnen Verbindung
• bei mobilen Anschlüssen die ungefähre Position über die Funkzelle

Ein Netz kann Pakete nicht zustellen, ohne zu wissen, wohin sie sollen. Diese Liste beschreibt insofern keinen Missbrauch, sondern die Funktionsweise. Die Frage ist, was ein Anbieter mit dieser Kenntnis anfängt. Darüber entscheiden Geschäftsmodell und Rechtslage.

// 02Was eine Behörde bei sechs Anbietern fand

Der belastbarste Beleg dafür, dass aus dieser technischen Sichtbarkeit ein Geschäft wird, kommt aus den USA. Die Handelsaufsicht FTC hatte 2019 sechs große Anbieter unter Androhung von Zwangsmitteln zur Auskunft verpflichtet und legte am 21. Oktober 2021 ihren Bericht vor: „A Look at What ISPs Know About You"^[3].

Untersucht wurden AT&T Mobility, Verizon Wireless, Charter, Comcast (Xfinity), T-Mobile und Google Fiber, zusammen rund 98,8 Prozent des amerikanischen Mobilfunkmarkts, dazu drei zu ihnen gehörende Werbeeinheiten. Der Befund der Behörde^[4]: Viele Anbieter sammeln und teilen deutlich mehr Daten, als Kundinnen und Kunden erwarten, darunter der gesamte Internetverkehr und Standortdaten in Echtzeit. Sie führen Informationen aus verschiedenen eigenen Produkten zusammen (Mobilfunk, Fernsehen, E-Mail, Smart-Home-Geräte) und stellen kaum wirksame Widerspruchsmöglichkeiten bereit.

Die Behörde hält außerdem fest: Anbieter geben an, personenbezogene Daten nicht zu verkaufen, erlauben zugleich aber, dass sie genutzt, weitergegeben und zu Geld gemacht werden.

// Deutschland

// 03Utiq: der Anbieter als Werbenetzwerk

Für Deutschland gibt es auf diese Frage eine konkrete Antwort, und sie heißt Utiq. Die Europäische Kommission genehmigte das Gemeinschaftsunternehmen am 10. Februar 2023. Gesellschafter sind vier Konzerne: Deutsche Telekom, Vodafone, Telefónica (o2) und Orange. Sitz ist Brüssel. Getestet wurde die Technik vorher unter dem Namen TrustPID.^[5]

Das Verfahren funktioniert so: Wer eine teilnehmende Website aufruft und dort zustimmt, dessen IP-Adresse geht an Utiq. Utiq fragt beim Netzbetreiber nach, der den Anschluss identifiziert und daraus eine pseudonymePseudonymEin Kennzeichen, das nicht den Namen enthält, aber dieselbe Person über die Zeit wiedererkennbar macht. Nicht dasselbe wie anonym: Kommt eine zweite Information dazu, etwa ein Login, lässt sich die Zuordnung oft wiederherstellen. Werbekennung ableitet. Diese Kennung wandert an den Website-Betreiber. Sie hält in der Variante für Werbeausspielung 24 Stunden, in der Variante für Website-Personalisierung 90 Tage.^[5]

Ein Cookie liegt im Browser und lässt sich löschen. Diese Kennung entsteht im Netz. Sie überlebt das Löschen von Cookies, den Wechsel des Browsers und den Wechsel des Geräts, solange derselbe Anschluss benutzt wird.

netzpolitik.org zählte 2024 64 deutsche Websites, die Utiq einsetzten, darunter Frankfurter Allgemeine Zeitung, Süddeutsche Zeitung, Handelsblatt und Titel der Ippen-Gruppe.^[5] 2025 kam der nächste Schritt: Utiq erfasst seither auch Festnetzanschlüsse der Deutschen Telekom^[6], also den Anschluss zu Hause, an dem alle Geräte des Haushalts hängen.

Ein Widerspruch über den ConsentHub von Utiq gilt ein Jahr und muss danach erneuert werden.^[6][9]

// 04Was die Datenschutzbeauftragte daran stört

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat zu Utiq eine eigene FAQ veröffentlicht^[7]. Sie hält die verbreitete Bezeichnung als „Super-Cookie" für unpräzise, formuliert aber einen grundsätzlichen Einwand:

Das zweite Bedenken der Behörde betrifft die Repersonalisierung: Eine pseudonyme Kennung bleibt nur so lange pseudonym, wie sie allein steht. Meldet sich jemand auf einer Website mit seinem Konto an, während die Kennung gesetzt ist, lässt sich beides verknüpfen.^[7]

Zuständig für Utiq selbst ist die BfDI nicht. Das Unternehmen sitzt in Belgien, die Aufsicht liegt dort. Die deutsche Behörde beaufsichtigt nur die beteiligten deutschen Netzbetreiber.^[7] Beim belgischen Datenschutzausschuss eingereichte Beschwerden wurden für zulässig erklärt.^[5]

Der Verein D64 warnt vor einem „neuen Überwachungsmonopol" und lehnt Werbetracking grundsätzlich ab.^[5] Ein praktischer Einwand wiegt für den Alltag schwerer: Utiq ersetzt bestehende Tracker nicht, es kommt hinzu. Websites, die Utiq einsetzen, binden weiterhin die übrigen Werbetechniken ein.^[5] Wie dieses Geschäft insgesamt funktioniert, steht in der Recherche zu Datenhändlern.

// Das Gerät

// 05Der Router gehört meistens nicht dir

Der zweite Proton-Text handelt von einer Firma, die kaum jemand kennt, obwohl ihre Software in Millionen Wohnzimmern läuft: Plume aus Kalifornien.^[2] Plume verkauft keine Geräte im Laden. Die Firma liefert die Plattform hinter den Kästen, die Internetanbieter ihren Kundinnen und Kunden mitgeben. Nach eigener Angabe vom Februar 2026 arbeitet das Unternehmen mit „mehr als 450 Internetanbietern in 58 Ländern" und stützt seine Auswertungen auf „Erkenntnisse aus 500 Millionen Geräten"^[11].

Deutschland ist dabei. Seit Juni 2021 setzt Deutsche Glasfaser Plumes Plattform ein; über die Genossenschaft BREKO eG können außerdem Mitglieder des Glasfaserverbands den Dienst unter eigenem Namen anbieten, mit Markteinführung in unter 45 Tagen und der Möglichkeit, die App im eigenen Logo zu betreiben.^[12] Auf dem Gerät steht damit der Name deines Anbieters. Wer die Software dahinter betreibt, steht dort nicht.

Solche Konstruktionen gibt es öfter. Am 14. Oktober 2025 gab Comcast bekannt, dass die Deutsche Telekom seine Mesh-WLAN-Plattform für Europa übernimmt^[13], samt Cloud-OrchestrierungCloud-OrchestrierungDie Steuerung der Geräte läuft nicht im Gerät, sondern auf Servern des Herstellers. Der Router meldet seinen Zustand dorthin und holt sich von dort seine Anweisungen. und Telemetriediensten. Die Steuerung des Heimnetzes läuft dann über Server, nicht über das Gerät im Wohnzimmer.

// 06Was die Kiste an ihren Hersteller meldet

Was so eine Plattform kann, bewirbt Plume auf seiner Seite für Anbieter selbst. Das Produkt heißt inzwischen Haystack und verspricht „durchgängige Sicht auf das Netz der Teilnehmer", Kennzahlen zur Gerätequalität und Sicherheitsanalysen. Dazu diesen Satz:

Proton verweist zusätzlich auf ein Datenblatt von Plume, wonach sich die so gebildeten Segmente mit Google Ads und Facebook Ads abgleichen lassen^[2][10]. Die Beschreibung stammt in beiden Fällen vom Anbieter selbst und richtet sich nicht an Endkunden, sondern an dessen Geschäftskunden, also an die Internetanbieter.

Wer eine solche Plattform betreibt, weiß, welche Geräte in einer Wohnung hängen, wann sie aktiv sind und wie lange. Ein Fernseher, eine Spielkonsole, drei Handys, ein Babyfon, ein Sprachassistent: Diese Liste ist eine ziemlich genaue Beschreibung eines Haushalts, noch bevor eine einzige Website aufgerufen wurde. Bei Saugrobotern haben wir dasselbe Muster beschrieben.

// Bewegung

// 07WLAN sieht Bewegung, seit 2025 nach Norm

Funkwellen werden von allem reflektiert, was im Raum steht, und verändern sich, wenn sich etwas bewegt. Aus diesen Veränderungen lässt sich ablesen, dass jemand da ist. Aus der Forschung ist das seit über einem Jahrzehnt bekannt. Neu ist, dass es Norm geworden ist: Die IEEE-Ergänzung 802.11bf-2025^[14] beschreibt WLAN-SensingWLAN-SensingDer Router wertet aus, wie sich sein eigenes Funksignal auf dem Weg zu anderen Geräten verändert. Bewegt sich etwas im Raum, ändert sich das Muster. Es werden keine Bilder aufgenommen; die Bewegung selbst ist die Information. als reguläre Funktion des WLAN-Standards, in den Frequenzbereichen zwischen 1 und 7,125 GHz sowie oberhalb von 45 GHz. Der Status der Norm ist aktiv.

Was damit geht, beschreibt der kanadische Anbieter Cognitive Systems auf seiner eigenen Website^[15]. Das Unternehmen nennt „144+ Partner" aus Anbietern und Plattformen und „20 Mio.+ ausgestattete Haushalte und Umgebungen". Interessanter als die Zahlen ist die Liste der Fähigkeiten. Erkannt werden sollen:

• Bewegung, Anwesenheit und Mikrobewegungen aus Funkmustern
• „Person localization, tracking movement, and gait indicators": Aufenthaltsort im Raum, Bewegungsverfolgung und Merkmale des Gangbilds
• „Human vitals sensing and sleep analytics": Vitalwerte und Schlafauswertung
• Auffälligkeiten wie Sturzrisiko und „subtile Abweichungen im Verhalten"

Das steht dort als Verkaufsargument, nicht als Warnung, und für sich genommen ist es nachvollziehbar: Für ältere Menschen ist eine Sturzerkennung ohne Kamera besser als eine Kamera im Flur. Trotzdem gilt: Wer Anwesenheit, Gangbild und Schlaf erfasst, erhebt Gesundheits- und Verhaltensdaten, auch ohne Bild. Die häufig zu lesende Beruhigung, es würden ja „weder Fotos noch Videos" aufgenommen^[17], sagt nichts darüber, wo diese Daten ausgewertet werden und wer das Ergebnis bekommt.

// 08Die Telekom testet, AVM wartet ab

In Deutschland wird das bereits erprobt. Die Deutsche Telekom zeigte WLAN-Sensing auf dem Mobile World Congress 2025 und kündigte an, die Funktion in die eigene Speedport-Reihe zu bringen^[17]. Im Frühjahr 2026 folgte der Feldversuch: In der Telekom-Community wurden rund 500 Testerinnen und Tester gesucht^[16], Start Mitte Mai 2026, Dauer 14 Tage. Unterstützt werden Speedport 7 (Typ A oder C) und Speedport Smart 4 (Typ A oder B). Die Teilnehmenden bekommen eine Sonder-Firmware aufgespielt, die Anzeige läuft über die MeinMagenta-App.

Zurückhaltender ist AVM, der Berliner Hersteller der FRITZ!Box. Auf Anfrage von netzwelt hieß es Anfang Februar 2025, der Standard sei „derzeit noch in der Forschungs- und Entwicklungsphase"; ob und wann FRITZ!Box-Router die Funktion bekommen, sei unklar^[17]. Die Norm ist seither erschienen. Die Aussage dürfte damit überholt sein, eine neuere liegt uns nicht vor.

// Macht

// 09Wer die Leitung hat, kann sie auch drosseln

Der bekannteste Fall stammt aus dem Sommer 2018: Während die Feuerwehr des kalifornischen Santa Clara County den Mendocino Complex Fire bekämpfte, drosselte Verizon den Datenanschluss ihres Einsatzfahrzeugs drastisch, nachdem 25 Gigabyte verbraucht waren. Verkauft worden war der Anschluss als „unlimited". Der zuständige Chief Anthony Bowden erklärte in einem Gerichtsverfahren, die Drosselung habe die Einsatzfähigkeit erheblich beeinträchtigt. Aufgehoben wurde sie erst, nachdem die Feuerwehr in einen teureren Tarif gewechselt war. Verizon nannte es später einen Fehler im Kundenservice.^[20]

In der EU wäre dieser Fall anders gelagert. Die Verordnung (EU) 2015/2120^[21] verpflichtet Anbieter, Datenverkehr gleich zu behandeln, und lässt Verkehrsmanagement nur in engen Grenzen zu. Das ist der Unterschied zwischen den beiden Rechtsräumen, und ein Grund, warum sich amerikanische Empörung selten sauber auf deutsche Verhältnisse übertragen lässt.

// Tun

// 10Was hilft und was nicht

Vier Maßnahmen greifen an unterschiedlichen Stellen. Keine davon löst alles.

Auf den eigenen Router hast du in Deutschland einen Anspruch. Seit dem 1. August 2016 gilt die freie Endgerätewahl, umgangssprachlich Routerfreiheit: Der Anbieter darf kein bestimmtes Gerät vorschreiben und muss die Zugangsdaten herausgeben.^[19] Ein Verband von Glasfasernetzbetreibern wollte diese Freiheit 2023 für Glasfaseranschlüsse einschränken lassen und begründete das mit Sicherheit, Support-Kosten und Interoperabilität. Die Bundesnetzagentur lehnte den Antrag ab^[18]: Eine objektive technische Notwendigkeit sah sie nicht. Die Routerfreiheit gilt damit auf allen Anschlussarten.

Verschlüsseltes DNS lässt sich in Firefox und Chrome in den Einstellungen aktivieren, moderne Router bieten es systemweit an. Es verlagert das Wissen über deine Domains vom Anbieter zu einem anderen Betreiber. Wen du dafür nimmst, ist also keine Nebensache. Zum Zusammenspiel mit dem Browser passt der Überblick über Browser-Alternativen.

Ein VPN verbirgt Ziel und Domain vor dem Anbieter, macht dich aber nicht anonym und schützt nicht vor der Website selbst. Was es leistet und was nicht, steht in den VPN-Grundlagen.

Utiq abschalten geht über den ConsentHub^[8]. Wichtig dabei: Die Seite muss mobil im Netz des eigenen Anbieters aufgerufen werden, sonst kann sie den Anschluss nicht zuordnen. Neben dem Widerspruch gibt es dort eine Schaltfläche, die den Dienst blockiert, auch wenn später versehentlich in einem Banner zugestimmt wird. Eine bebilderte Anleitung führt der Kuketz-Blog^[9]. Weil der Widerspruch nach einem Jahr verfällt, lohnt eine Erinnerung im Kalender.

// Einordnung

// 11Fazit

Die beiden Proton-Texte beschreiben ein echtes Problem mit den falschen Beispielen für deutsche Leserinnen und Leser. Die amerikanische Lage ist nicht unsere: abgeschaffte Netzneutralität, kaum Datenschutzaufsicht, offen beworbene Datenweitergabe. Die europäische Rechtslage ist besser. Verkehrsdaten sind hier gesondert geschützt, Netzneutralität ist Verordnungsrecht, und die freie Wahl des Routers hat die Bundesnetzagentur gerade erst gegen die Netzbetreiber verteidigt.

An der Ausgangslage ändert das nichts. Vier europäische Telekommunikationskonzerne haben ein gemeinsames Unternehmen gegründet, dessen Geschäftszweck darin besteht, aus der Kenntnis des Anschlusses eine Werbekennung zu machen, inzwischen auch am Festnetzanschluss zu Hause. Die Aufsichtsbehörde hält das für schwer vereinbar mit der Vertrauensstellung eines Netzbetreibers und kann wenig tun, weil das Unternehmen in Belgien sitzt. Der Widerspruch dagegen läuft nach einem Jahr ab.

Und das Gerät, das im Wohnzimmer steht, lernt gerade eine neue Fähigkeit. Es kann bald erkennen, wer sich im Raum bewegt, wie diese Person geht und wie sie schläft. Für eine Sturzerkennung ist das ein Fortschritt. Es sind zugleich die intimsten Daten, die je in einem Router entstanden sind. Ob sie das Gerät verlassen, entscheidet der Betreiber der Software. Und wer das ist, steht oft nicht auf dem Gehäuse.